"서버 털릴 뻔..." PHP 긴급 보안 패치와 재단이 털어놓은 2년간의 지연 비화

요약 PHP 재단이 서버에서 인증 없이 원격으로 코드를 실행(RCE)할 수 있는 치명적인 제로데이급 취약점 2건을 해결한 긴급 보안 패치(PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35)를 발표했습니다. 이번에 공개된 취약점 중 첫 번째(CVE-2026-109618)는 요청 처리 중 메모리 한도(memory_limit)에 도달했을 때 불완전하게 초기화된 내부 데이터가 메모리를 오염시키는 OOM(Out of Memory) 버그입니다. 아파치 mod_php 환경에서는 애플리케이션 코드가 실행되기도 전에 기본 설정만으로 원격 코드 실행이 가능한 것으로 확인되었습니다. 두 번째 취약점(CVE-2026-109619)은 에러 처리 과정에서 이전 요청의 메모리를 그대로 가리키는 문제가 발생해, 워커 프로세스가 해제된 메모리를 재참조(Use-After-Free)하며 코드를 실행할 수 있는 결함입니다. 두 취약점 모두 PHP의 핵심인 메모리 관리와 에러 핸들링 영역에 위치해 있어 영향력이 매우 큽니다. 흥미로운 점은 이 취약점의 발단과 해결 과정에 대한 PHP 재단 측의 솔직한 고백입니다. OOM 관련 문제는 이미 2024년 외부 보안 감사 당시 징후가 포착되었으나, 하위 호환성 훼손 우려와 서드파티 확장 프로그램 지원 문제, 만장일치제 의사결정 방식의 한계, 핵심 개발 인력 부족 등이 겹쳐 수개월간 패치 작업이 지연되는 '구조적 실패'를 겪었습니다. 이후 2026년 들어 AI 보안 연구 환경(Anthropic Claude Mythos, OpenAI Daybreak Red 등)이 도입되고 외부 보안 기업(Calif, Wiz 등) 및 OpenAI가 실제로 작동하는 원격 코드 실행 벡터를 잇따라 보고하면서 전면적인 비상 대응 체제로 전환되었습니다. 전담 인력이 주말과 밤낮없이 투입된 끝에 이번 패치가 완성되었으며, PHP 재단은 현재 PHP를 사용하는 모든 서버 관리자에게 즉각적인 업데이트를 강력히 권고하고 있습니다.